RGPD

L'employeur doit informer les salariés sur les données personnelles qu'il collecte et les traitements qu'il met en œuvre dans l'entreprise d'une façon concise, transparente, compréhensible et aisément accessible : par écrit ou, lorsque cela est approprié, par voie électronique Règl. UE no 2016/679, 27 avr. 2016, art. 12.

Concrètement, les informations suivantes doivent être communiquées s'agissant de chaque traitement automatisé de données personnelles :

• l'identité et les coordonnées du responsable du traitement (l'employeur)
• la base légale du traitement (c'est-à-dire ce qui donne le droit à un organisme de traiter les données) : il peut s'agir du consentement des personnes concernées, du respect d'une obligation prévue par un texte, de l'exécution d'un contrat, etc.)
• les finalités poursuivies par le traitement auquel les données sont destinées
• le caractère obligatoire ou facultatif du recueil des données (ce qui suppose une réflexion en amont sur l'utilité de collecter ces données au vu de l'objectif poursuivi – principe de « minimisation » des données) et conséquences pour la personne en cas de non-fourniture des données
• les destinataires ou catégories de destinataires des données (qui a besoin d'y accéder ou de les recevoir au vu des finalités définies, y compris les sous-traitants)
• la durée de conservation des données (ou critères permettant de la déterminer)
• les droits des personnes concernées (les droits d'accès, de rectification, d'effacement et à la limitation sont applicables pour tous les traitements, voir question dédiée)
• le droit d'introduire une réclamation auprès de la Cnil et les coordonnées de la commission
• s'il existe, les coordonnées du délégué à la protection des données de l'entreprise (voir question dédiée)
• l'existence d'un transfert des données vers un pays hors Union européenne (ou vers une organisation internationale), les garanties associées à ce transfert et la faculté d'accéder aux documents autorisant ce transfert
• l'existence d'une prise de décision automatisée ou d'un profilage, les informations utiles à la compréhension de l'algorithme et de sa logique, ainsi que les conséquences pour la personne concernée.

Oui, le CSE doit être informé sur les traitements automatisés de gestion du personnel préalablement à leur introduction dans l'entreprise, ainsi qu'en cas de modification C. trav., art. L. 2312-38.

L'employeur doit informer les salariés :

• lors de la collecte de leurs données
• en cas de modification substantielle ou d'événement particulier, notamment :
  • s'il a subi, par erreur ou par négligence, de manière accidentelle ou illicite, une violation de données à caractère personnel, c'est-à-dire la destruction, la perte, l'altération ou la divulgation non autorisée de données personnelles
  • et si la violation de ces données présente un risque élevé pour les droits et libertés des personnes concernées.

Les salariés dont les données sont collectées dispose des droits suivants :

• droit d'information : c'est le droit d'être informé de la collecte et du traitement des données (voir question dédiée) mais également la possibilité pour le salarié d'obtenir la confirmation que ses données sont ou ne sont pas traitées
• droit d'accès aux données : le salarié a un droit d'accès à ses données, ainsi qu'aux informations qui doivent lui être transmises au moment de leur collecte (RGPD, Règl. UE, no 2016-679, 27 avr. 2016, art. 15)
• droit de rectification des données inexactes et de les compléter (RGPD, Règl. UE, no 2016-679, 27 avr. 2016, art. 16)
• droit à l'oubli : le salarié peut faire effacer des données le concernant par le mécanisme du « droit à l'oubli », notamment lorsqu'elles ne sont plus nécessaires au regard de la finalité du traitement, lorsqu'il retire son consentement à la collecte de ses données, ou lorsque ces données ont fait l'objet d'un traitement illicite (RGPD, Règl. UE, no 2016-679, 27 avr. 2016, art. 17)
• droit à la portabilité des données : le salarié peut obtenir que les données soient directement transmises d'un responsable de traitement à un autre (RGPD, Règl. UE, no 2016-679, 27 avr. 2016, art. 20)
• droit de s'opposer à la collecte des données : le salarié a le droit de s'opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement de données à caractère personnel. L'employeur doit alors arrêter le traitement des données concernées, à moins qu'il ne démontre qu'il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur les intérêts et les droits et libertés du salarié, ou pour la constatation, l'exercice ou la défense de droits en justice (RGPD, Règl. UE, no 2016-679, 27 avr. 2016, art. 21).

L'employeur doit instaurer des procédures effectives permettant aux salariés d'exercer leurs droits sur leurs données personnelles, en identifiant à qui ils doivent s'adresser (RGPD, Règl. UE, no 2016-679, 27 avr. 2016, art. 12).